在高教機構中為安全 BYOD 與 802.1X WiFi 部署 SCEP

在高等教育機構中針對安全 BYOD 與 802.1X WiFi 實作 SCEP Purple 技術簡報 - 全程約 10 分鐘 [前言與背景介紹 - 1 分鐘] 歡迎收看 Purple 技術簡報。我將帶您深入了解高等教育 IT 部門最常見的痛點之一：如何讓成千上萬的學生和教職員工裝置接入安全的憑證驗證 WiFi 網路，同時又不會讓您的技術支援團隊被支援工單淹沒。 簡單來說，解決方案就是 SCEP。也就是簡單憑證登錄協定 (Simple Certificate Enrollment Protocol)。當您將它與 802.1X 和雲端 RADIUS 服務結合時，就能獲得真正強大的效果 - 在這個網路中，每台裝置在獲得存取權限之前都必須證明其身份，憑證會自動發行與更新，且您的 IT 團隊完全不需手動處理每台裝置。 大學院校在此面臨著真正的壓力。每年九月都有數萬名學生帶著自己的筆記型電腦、手機和平板電腦入學。您需要讓他們快速接入安全的網路。同時您還需要確保，當學生離校或裝置遺失時，其存取權限能被乾淨俐落地撤銷。SCEP 就是讓這一切能夠大規模運作的核心機制。 讓我們深入了解技術細節。 [技術深潛 - 5 分鐘] 首先，我們來釐清 SCEP 的本質。它是一種協定 - 最初由 Cisco 開發 - 可自動化向憑證授權單位 (CA) 申請和接收數位憑證的流程。在 SCEP 出現之前，要將憑證安裝到裝置上，不是需要透過隨身碟和繁瑣點擊的手動流程，就是需要透過讓大多數終端使用者感到困惑的複雜網頁式登錄。而 SCEP 則將該交握流程完全自動化。 以下是其在大學 BYOD 情境中的運作流程。學生抵達校園。他們的裝置 - 無論是 MacBook、Android 手機還是 Windows 筆記型電腦 - 都會註冊到您的行動裝置管理 (MDM) 平台中。MDM 會將設定設定檔推送至該裝置。該設定檔包含指向您憑證授權單位的 SCEP URL、用於驗證的盤問密碼以及要使用的憑證範本。裝置會在本地端產生金鑰組 - 私密金鑰絕不會離開裝置 - 並透過 SCEP 向 CA 發送憑證簽署請求。CA 會驗證該請求、發行憑證並將其傳回給裝置。整個過程只需幾秒鐘，且除了初始的 MDM 註冊之外，不需要任何使用者操作。 那麼，為什麼這對 WiFi 尤為重要？因為 802.1X - 用於基於連接埠之網路存取控制的 IEEE 標準 - 可以將該憑證用作驗證認證。裝置會向 RADIUS 伺服器出示其憑證，而不是使用者名稱和密碼。RADIUS 伺服器會比對您的 CA 驗證該憑證，確認該裝置是已知且受信任的，然後授予存取權限。這就是 EAP-TLS - 搭配傳輸層安全性的可延伸驗證協定 - 也是 WiFi 驗證的黃金標準。相較於使用密碼的方法，憑證在安全性上的優勢非常顯著。憑證無法被網路釣魚。學生不會不小心把自己的憑證提供給虛擬的假網路。私鑰絕不會離開裝置，因此即使憑證不慎遭到攔截，沒有對應的私鑰也毫無用處。而且由於憑證中包含裝置身分，因此您可以精細地掌握任何特定時間是哪台裝置在您的網路上。 現在我們來談談您需要的基礎架構元件。您需要一個證書授權單位 - 這可以是大部分大學都已經擁有的 Microsoft Active Directory Certificate Services，或是雲端 CA。您需要一台 NDES 伺服器 - 也就是網路裝置登冊服務 - 負責在您的裝置與 CA 之間擔任 SCEP 代理程式。您需要一台 RADIUS 伺服器來處理 802.1X 驗證。而且您需要支援 WPA2-Enterprise 或 WPA3-Enterprise 搭配 802.1X 的無線基地台。Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi 和 Fortinet 全都原生支援此功能。 在 RADIUS 元件方面，Purple 的 SecurePass 使用雲端原生 RADIUS 服務。主要伺服器為 rad1-secure.purple.ai，次要伺服器為 rad2-secure.purple.ai，兩者皆使用標準驗證連接埠 1812 和帳務連接埠 1813。這讓您無需自行運作本地端的 RADIUS 基礎架構 - 歷史上這對大學 IT 團隊來說一直是一項重大的營運負擔。如需完整的設定步驟，Purple 的支援文件 support.purple.ai 涵蓋了詳細的安裝流程。 有一點非常值得強調：SecurePass 是建立在 Passpoint - 亦稱為 Hotspot 2.0 - 標準之上。這表示在您的大學校園內註冊的學生，不僅能在校園內獲得安全存取。他們的裝置還能在全球超過 80,000 個啟用 OpenRoaming 的場域（如機場、飯店、火車站）自動連線。這種基於憑證的身分識別會隨身同行。對於經常旅行的學生來說，這是一項極具實用價值的福利。 SSID 的設定非常重要，務必正確配置。SecurePass 需要一個啟用了 WPA2 或 WPA3-Enterprise 與 Hotspot 2.0 的專用 SSID。您不應該重複使用現有的 Captive Portal SSID。此 SSID 必須公開廣播 - 隱藏的 SSID 會阻礙自動連線行為，而這正是讓整個系統順暢運作的關鍵。 在身分識別提供者整合方面，SecurePass 可與 Microsoft Entra ID 和 Google Workspace 進行同步。這對於人員入職、調動、離職的工作流程至關重要。當學生畢業或教職員離職時，他們在 Entra ID 中的帳戶會被停用，存取權限也會自動撤銷。不需要手動撤銷憑證。這種自動化才能為您的 IT 團隊節省寶貴的時間。 [實施建議與常見陷阱 - 2 分鐘] 讓我為您提供我會給予任何著手此專案的大學 IT 團隊的實用建議。 首先，從教職員開始，然後才是學生。教職員的裝置通常是受控管的 - 您有 MDM 覆蓋率，了解裝置資產清單，且使用者人數較少。先在教職員身上完善此流程，解決極端情況，然後再擴展到學生。 第二，仔細規劃您的憑證有效期。一年期的憑證有效期是常見的選擇，但請考慮您的學術行事曆。如果憑證在 8 月過期，您將在新的學年開始前迎來一波更新潮。考慮將過期時間調整到學期中，或使用透過 SCEP 的自動更新來完全避免這個問題。 第三，在正式上線前徹底測試您的 NDES 設定。NDES 是最常引起問題的元件。每次註冊請求都必須重新產生驗證密碼 - 它的有效期限很短。如果您的 MDM 在取得驗證密碼後產生 SCEP 請求的速度太慢，註冊將會失敗。請使用各種裝置類型和作業系統版本進行測試。 第四，不要忽略裝置相容性矩陣。iOS、macOS、Android 和 Windows 處理 SCEP 的方式都略有不同。iOS 和 macOS 內建原生 SCEP 支援，可與 MDM 推送的設定檔完美搭配。Android 的行為因製造商而異。Windows 則需要 NDES 連接器或第三方 MDM 代理程式。記錄您支援的設定，並向學生清晰溝通。 我最常看到的陷阱是對 MDM 層的投資不足。SCEP 的效果取決於您的 MDM 覆蓋率。如果學生的裝置未在 MDM 中註冊，他們就無法接收 SCEP 設定檔。您需要一個清晰的引導流程 - 最好整合到您的學生註冊工作流程中 - 在他們到達校園之前將裝置納入 MDM。 [快速問答 - 1 分鐘] 以下是我經常被問到的幾個快速問題。 沒有 MDM，SCEP 還能運作嗎？技術上可以 - 您可以手動分發 SCEP 設定檔 - 但在大學規模下，您需要 MDM。沒有它，您就會回到手動流程。 不支援 802.1X 的裝置會怎麼樣？它們會像往常一樣繼續透過您現有的 Captive Portal 進行。SecurePass 是附加的 - 不支援的裝置不會被阻擋。 這適用於校園內的 IoT 裝置嗎？IoT 裝置通常不支援 802.1X。請使用適當的防火牆規則將它們分割到獨立的 VLAN。不要嘗試將您的智慧建築感測器與學生的筆記型電腦放在同一個網路中。 EAP-TLS 是唯一的選擇嗎？不是。使用使用者名稱和密碼而非憑證的 PEAP 搭配 MSCHAPv2 是常見的替代方案。但使用 SCEP 發行憑證的 EAP-TLS 安全性顯著更高，並消除了密碼管理的開銷。 [總結與後續步驟 - 1 分鐘] 總結來說：SCEP 實現了大規模的憑證自動註冊。結合 802.1X 與 EAP-TLS，它能為您提供一個對每台裝置進行加密驗證的網路、在無需 IT 人員介入的情況下發放和更新憑證，並在人員離職時自動撤銷存取權限。對於擁有數千台 BYOD 裝置的大專院校而言，這正是可控網路與客服噩夢之間的決定性差別。 其關鍵組成要素包括：憑證授權單位（CA）、NDES 或 SCEP 代理伺服器、雲端 RADIUS 服務，以及支援 WPA2 或 WPA3-Enterprise 的無線基地台。Purple 的 SecurePass 提供了雲端 RADIUS 層與基於 Passpoint 的設定檔分發，並與您現有的 Microsoft Entra ID 或 Google Workspace 目錄進行整合。 您的後續步驟：檢視您的 MDM 涵蓋範圍並找出漏洞、評估您的 CA 基礎架構，並向您的網路硬體廠商詢問有關 Passpoint 的支援。接著，請造訪 support.purple.ai 以檢視 SecurePass 設定指南和硬體相容性清單。 感謝您的聆聽。如果您有任何疑問，Purple 團隊隨時在 purple.ai 為您服務。